O mais recente desenvolvimento na saga do ataque NotPetya de 2017 deve ser um lembrete para as organizações de que basta um punhado de cibercriminosos para derrubar todas as suas operações.
Na semana passada, o Departamento de Justiça dos EUA anunciou acusações, incluindo fraude informática e conspiração, contra seis piratas informáticos do grupo cibercriminoso conhecido como Sandworm, que são membros confirmados da agência de inteligência militar russa GRU.
Acredita-se que o Sandworm esteja por detrás de ataques que desactivaram parte da rede eléctrica da Ucrânia em 2016, interferiram nas eleições francesas de 2017, destruíram computadores utilizados nos Jogos Olímpicos de Inverno de 2018 e, sobretudo, são responsáveis pelo famoso ataque NotPetya.
O ataque NotPetya afectou organizações em 65 países em todo o mundo, causando um prejuízo estimado em 10 mil milhões de dólares. Um exemplo dessas organizações que foi manchete é a maior empresa de transporte marítimo do mundo, a Maersk. De acordo com os relatórios, a rede da Maersk foi paralisada numa questão de minutos e os danos causados pelo malware ficaram completos numa hora. A Maersk perdeu todos os seus servidores de controlo de domínio Active Directory (AD) online, juntamente com as suas cópias de segurança. A sua salvação foi um controlador de domínio desligado no seu escritório de Accra, no Gana.
A Maersk demorou nove dias a recuperar o Active Directory. O CISO da Maersk, Andy Powell, terá afirmado: «Nove dias para recuperar o Active Directory não é suficiente; o objetivo deve ser 24 horas; se não for possível, então não se consegue resolver mais nada.»
A notícia foi abordada no site wired.com por Andy Greenberg, renomado jornalista especializado em cibersegurança e autor do livro «Sandworm: A New Era of Cyberwar and the Hunt for the Kremlin's Most Dangerous Hackers». Recentemente, tivemos a oportunidade de conversar com o Andy na conferência «2020 Hybrid Identity Protection de 2020 e discutir o que as organizações podem aprender com ciberataques destrutivos como o NotPetya e como pensar numa estratégia de contingência. Andy salientou que «mais do que a defesa, é preciso concentrar-se na resiliência. Pode não ser possível impedir um ataque, mas pode estar preparado para responder a um e recuperar-se.»
Leitura relacionada
Lições aprendidas: Está preparado para o próximo "NotPetya"?
O NotPetya ocorreu não há muito há muito tempo e a maioria dos CISOs de hoje estava a trabalhar no sector das TI, de alguma forma, quando ocorreu. A Maersk foi bastante transparente sobre o quanto foi afectada pelo NotPetya, ao ponto de os detalhes sobre a empresa ter perdido completamente o seu Active Directory terem sido incluídos em quase todos os artigos técnicos que cobriram o ataque. Poder-se-ia pensar que os CISOs tomassem nota e que a estratégia de recuperação do AD fosse diferente actualmente.
No entanto, a maioria das organizações ainda não tem um plano para garantir a capacidade de recuperação do AD.
É certo que se fazem cópias de segurança e que existem soluções de segurança para sustentar uma postura de segurança preventiva adequada, mas as organizações actuais ainda não estão preparadas para um ataque ao AD do calibre do NotPetya.
De acordo com a nossa publicação recente Recuperação do Active Directory contra desastres cibernéticos 84% das organizações admitem que a perda de controladores de domínio AD como parte de um ataque cibernético teria um impacto significativo, grave ou catastrófico na organização.
As cópias de segurança desempenham certamente um papel numa estratégia de recuperação de desastres, mas com o AD a representar o único ou o principal serviço de identidade em 58% das organizações, é imperativo que esteja preparado para essa perda "catastrófica" do AD. O NotPetya provou que isso pode acontecer. E, no entanto, pouco mais de dois terços (68%) das organizações não têm um plano de recuperação do AD, têm um plano mas não o testaram ou não o testaram no prazo de um ano.
Com base no ataque NotPetya e em ciberataques mais recentes ciberataques que envolvem o AD, existem alguns tipos de tácticas de ataque direccionadas para o AD que deve esperar e que seu plano de resposta deve abordar:
- AD Manipulação-A capacidade do AD de fornecer acesso a recursos e controlo sobre utilizadores e pontos finais coloca-o nos locais dos cibercriminosos. É necessário ser capaz de de devolver o seu AD a um bom estado conhecido e estado de segurança conhecido
- AD Disponibilidade-Ino ataque ao Maersk ataqueo registo mestre de arranque de cada Controlador de Domínio foi encriptado, tornando-os não podem ser inicializados. Tem de ser capaz de recuperar tudo a partir de um único controlador de domínio até toda a floresta (com todas as suas complexidades) sem arriscar a reintrodução de malware.
- Sem cópias de segurança do AD-Muitas estirpes de ransomware têm como alvo o serviço Volume Shadow Copy da Microsoft, ficheiros de cópia de segurança por tipo de ficheiro e até tentam aceder a soluções de cópia de segurança através da API. No mínimo, a regra regra de cópia de segurança 3-2-1 aplica-se aqui com uma cópia mantida fora do local. E para as organizações que reconhecem o AD como a carga de trabalho crítica que é, ter uma solução que se concentre na recuperação da floresta do AD cria uma estratégia de resposta em camadas. Desta forma, pode contar com a capacidade de correcção, mesmo que não existam cópias de segurança viáveis.
O velho ditado adaptado "aqueles que não se lembram do passado estão condenados a repeti-lo" ainda soa verdadeiro. E, se é uma das organizações que não aprendeu com a experiência da Maersk na recuperação do NotPetya, a acusação da Sandworm deve servir como um lembrete de que chegou o momento de começar a planear o próximo grande ciberataque ocorrer.
